Tu app ya está en manos del atacante.

Sí, y debe incluirla. La app del dispositivo es donde un atacante encuentra las claves, los tokens y los endpoints; la API del backend es donde los usa para llegar a los datos o abusar de la funcionalidad. Por defecto probamos las dos en un solo proyecto. Si solo necesitas la API, nuestro servicio de pentesting de APIs la cubre por separado.

Sí. Probamos iOS y Android como objetivos separados, porque sus modelos de almacenamiento, de permisos y de plataforma son distintos y un fallo en uno muchas veces no está en el otro. Si publicas las dos, dimensionamos las dos; si publicas una, nos centramos ahí. El informe trata cada plataforma en sus propios términos y destaca los problemas que comparten.

No. Probamos una build que nos entregas y en nuestros propios dispositivos, no en los teléfonos de tus usuarios ni con tus datos de producción. Cuando el backend entra en el alcance acordamos por adelantado las rules of engagement (las reglas del encargo), las ventanas de prueba y los límites de peticiones, y solo tocamos producción para acciones autorizadas de forma explícita y no destructivas, con tu equipo informado.

Una app de una sola plataforma suele llevar de una a dos semanas de prueba activa; probar iOS y Android, o incluir un backend complejo, sube a dos o tres semanas. El alcance se define antes y el retest va después de tus correcciones. El calendario se confirma en la propuesta, que entregamos en 48 horas desde la primera llamada.

El precio sigue al alcance: una plataforma o las dos, la complejidad de la app y si entra la API del backend. Damos un precio cerrado, sin costes ocultos y sin obligación de renovar. Auditar una app de una sola plataforma está en la parte baja de la horquilla; las dos plataformas con el backend suben desde ahí. El retest que confirma tus correcciones va siempre incluido.

Lo ejecuta de principio a fin el especialista senior que conoces en la primera llamada. Nuestro equipo cuenta con credenciales OSCP, OSWE y OSEP, trabaja a mano contra OWASP MASVS y MASTG, y somos contribuidores verificados del Bug Bounty de la NASA. La misma persona define el alcance, ejecuta y hace el retest. Es tu interlocutor de principio a fin.

Seguimos el proyecto OWASP Mobile Application Security: MASVS para los requisitos de verificación y MASTG para la metodología de prueba, junto con PTES y NIST SP 800‑115. Es el estándar reconocido de seguridad móvil, así que el informe encaja con lo que esperan los auditores y los clientes grandes, y con los riesgos del OWASP Mobile Top 10 por los que preguntan.